-
Die
Erfindung betrifft Verfahren zur Fernauslese der Daten aus einem
Identifikationsmedium, insbesondere einer Chipkarte mit RFID Tag.
Zudem betrifft die Erfindung eine Vorrichtung zur Durchführung des
Verfahrens.
-
Dabei
ist der Standard für derartige kontaktlose Chipkarten die ISO/IEC
14443. Diese Chipkarten werden für Identifikationssysteme
und für Zugangskontrollen, aber auch für Bezahlanwendungen, beispielsweise
Kreditkarten, Metrotickets und ähnliches eingesetzt. Seit
der Einführung des elektronischen Reisepasses auf der Basis
eines Chips ist die Diskussion um die Personendaten auf elektronischen Ausweisdokumenten
entfacht. Der heutige elektronische Reisepass ist mit viel Abstimmungsaufwand
auf nationaler und internationaler Ebene spezifiziert worden. Insbesondere
die Sicherheitsfunktionen für solche Systeme werden umfangreich
betrachtet und in Form sogenannter Sicherheitsanforderungen festgehalten.
Während der Realisierung müssen unabhängige
Prüfstellen überwachen, ob diese strengen Vorgaben
auch eingehalten werden.
-
Trotz
allem werden immer wieder in der Öffentlichkeit Sicherheitsbedenken
laut. Grund hierfür ist in den meisten Fällen
die kontaktlose Schnittstelle. Nutzer befürchten, dass
permanent die Möglichkeit besteht, Daten über
die kontaktlose Schnittstelle abzurufen. Bei einer kontaktbehafteten
Schnittstelle entscheidet der Nutzer selbst, ob und in welchen Leser
er die Karte oder den Ausweis stecken möchte. Bei der Luftschnittstelle
ist das nach heutigem Stand der Technik nicht möglich.
Der Nutzer befürchtet, dass auf der Strasse oder in Bus
und Bahn sich Angreifer neben ihn setzen und Daten mit einem kontaktlosen
Leser aus dem Pass auslesen. Es sind sogar Tipps zu finden, wie
die Antenne beschädigt werden kann, ohne dass eine äußere
Manipulation festgestellt werden kann.
-
Nach
Ansicht von Datenschützern birgt die Verwendung eines RFID-Chips
(„Radio Frequency Identification”) die Gefahr
von Datenschutzverletzungen bereits in sich. Damit soll es dem einzelnen
Bürger nicht mehr möglich sein, den Abruf seiner
personenbezogenen Daten zu kontrollieren und zu steuern. Entsprechende
Probleme ergeben sich generell bei der drahtlosen Identifikation
mittels RFID: Daten wie Adressangaben, Passbild und Fingerabdrücke können
unbemerkt von Dritten mit tragbaren Lesegeräten ausgelesen
werden, wenn kein entsprechender Schutz implementiert ist.
-
Kritiker
des elektronischen Reisepasses, hier der Chaos Computer Club, äußern
sich denn auch wie folgt: „Ohne ausreichende Sicherheitsmaßnahmen
könnten RFID-Chips im Reisepass dazu führen, dass
die gespeicherten Daten ohne willentliche und aktive Handlung des
Besitzers (wie dem Vorzeigen des Ausweises) verdeckt ausgelesen
werden könnten. Dieses unbemerkte Auslesen könnte
z. B. allein durch das Passieren eines Durchgangs erfolgen (in der
Art wie es an Ein- und Ausgängen zu Kaufhäusern
zur Diebstahlsicherung erfolgt) oder durch Annäherung einer
Person mit einem mobilen Lesegerät auf wenige Meter zum
Betroffenen bzw. seinem Reisepass.”
-
Dabei
ist die Radio Frequency Identification (Identifizierung per Funk)
eine Technologie zur berührungs- bzw. drahtlosen Erkennung
von Informationen mit Hilfe von Funkwellen. Ein RFID-System setzt
sich zusammen aus einem Transponder und einem Erfassungs-/Lesegerät.
Ein Transponder ist ein Gerät, welches eingehende Signale
aufnimmt und automatisch darauf antwortet. In Verbindung mit RFID
werden diese Transponder TAGs genannt, von denen aktive und passive
Varianten existieren. Das TAG wird an einem Objekt angebracht, wodurch
die darauf gespeicherten Informationen kontaktlos ausgelesen werden
können. Somit ist das Objekt eindeutig identifizierbar.
-
Im
Internet auch Hüllen für den elektronischen Reisepass
angeboten respektive empfohlen, die den Chip soweit abschirmen,
dass die Passdaten nicht geklaut werden. Auch die Hansestadt Lübeck und
Experten des Unabhängigen Landeszentrums für Datenschutz
empfehlen, eine Alu-Hülle zum Schutz elektronischer Passdaten
zu verwenden.
-
Der
elektronische Reisepass bietet dabei nur ein Beispiel unter mehreren
Szenarien. Ähnliche Systeme sind die geplanten Bürgerkarten,
National-ID Cards und der zukünftige Personalausweis. Auch
im Automotive Bereich sind solche Systeme geplant oder werden schon
umgesetzt. Letztendlich sind alle Anwendungen und Systeme betroffen,
bei denen Interfaces nur dann genutzt werden sollen, wenn das Interface
von einem berechtigten Nutzer willentlich durch eine aktive Handlung
aktiviert wurde.
-
Bei
heutigen Systemen gibt es schon verschiedenste Berechtigungsmodelle
bezüglich der Zugangsrechte oder der Zugriffsrechte. Dabei
wird aber immer eine Kommunikation mit dem System aufgenommen, bei
der dann der weitere Zugriff auf Daten nur gestattet wird, wenn
der Nachweis der Berechtigung erbracht wird. Damit hinterlässt
der Nutzer aber in jedem Fall eine „Datenspur”,
da das Medium, mit dem kommuniziert wird, auch erkannt wird.
-
Aufgabe
der vorliegenden Erfindung ist es nunmehr, ein mit einfachen Mitteln
umzusetzendes Verfahren zu schaffen, das eine erhöhte Datensicherheit
beim Gebrauch fernauslesbarer Chipkarten schafft. Zudem ist es die
Aufgabe der vorliegenden Erfindung, ein System zum Umsetzen des
Verfahrens vorzuschlagen.
-
Gelöst
werden diese Aufgaben durch das Verfahren mit den kennzeichnenden
Merkmalen des Anspruch 1 und das System nach Anspruch 4. Besondere
Ausführungsformen sind in den jeweiligen Unteransprüchen
genannt.
-
Der
erfindungswesentliche Grundgedanke liegt in einer Art „hemmender” Funktionalität,
die mit der Chipkarte realisiert wird, respektive auf der Chipkarte
implementiert ist und die eine ungewollte automatische Auslese unmöglich
macht.
-
Diese
Funktionalität kann erfindungsgemäß durch
den Nutzer selber aktiviert und, insbesondere nach entsprechender
Authentifikation, deaktiviert werden, wobei bei eingeschalteter
Hemmung keine Fernauslese möglich ist. Mit dieser Vorgehensweise wird
quasi ein „berechtigungsgesteuertes Interface” zur
Auslese der Chipdaten realisiert. Dabei kann der Chip wie ein RFID
Tag passiv oder mit eigener Energieversorgung aktiv sein. Damit
realisiert die Erfindung ein Verfahren zum berechtigungsgesteuerten Handling
einer Schhnittstelle („Interface”), bei dem die
Nutzung des Interfaces nur dann ermöglicht wird, wenn das
Interface von dem berechtigten Nutzer willentlich durch eine aktive
Handlung zur Nutzung freigegeben wird.
-
Als
mögliche Funktionalität bietet sich beispielsweise
die Deaktivierung der Sende- respektiver der Antwortfunktion bei
dem insbesondere als RFID Chip ausgebildeten Chip an. Diese Funktionalität kann
durch ein auf dem Chip implementiertes Programm realisiert werden,
das in die Antwortfunktion eingreift. Ein solcher Eingriff kann
eine Störung oder ein komplettes Abschalten der Funktionalität
umfassen. In einer besonderen Ausführungsform kann eine Deaktivierung
der auf dem RFID-Tag realisierten Antenne geschehen. Eine solche
Deaktivierung könnte dadurch realisiert werden, dass mittels
der Funktionalität die Verbindung zur Antenne, insbesondere durch
Schalten eines Schalters, unterbrochen wird. Die Verbindung kann
aber auch per Software getrennt und wieder geschlossen werden.
-
Die
Aktivierung und Deaktivierung der hemmenden Funktionalität
geschieht dabei vorteilhafterweise durch äußere
Einflüsse. So ist es denkbar, dass das Tag generell „gehemmt” ist
und sich erst durch Zusammenbringen mit einer zweiten Komponente
aktivieren lässt. Diese zweite Komponente kann in dem Erfassungs-/Lesegerät
realisiert sein, das die Funktion des Aktivierend und Deaktivierend übernimmt. Über
dieses Erfassungs-/Lesegerät kann der Nutzer beispielsweise
die Hemmung ein- und ausschalten, wobei er sich dafür vorteilhafterweise bei
dem Gerät entsprechend identifizieren muss. Die zweite
Komponente kann aber auch ein Mittel sein, das der Nutzer bei sich
führt. Beispielsweise ist es denkbar, einen Mikroschalter
mit einem unmittelbar auf den Chip aufgesetzten Magneten zu schalten.
-
An
den folgenden Beispielen soll das Verfahren eines berechtigungsgesteuerten
Interfaces näher erläutert werden. Am Beispiel
eines elektronischen Reisepasses sähe das wie folgt aus:
Der
Nutzer geht an ein als Erfassungs-/Lesegerät ausgebildetes
Terminal und ruft dort beispielsweise die Funktion „Deaktivierung
der Antenne” auf. Daraufhin wird er zum Nachweis einer
entsprechenden Berechtigung, beispielsweise durch Eingabe eines Passwortes,
aufgefordert. Bei erfolgreichem Nachweis wird die Empfangs- und
Sendemöglichkeit insbesondere vermittels der Antenne deaktiviert.
Falls im Chip ein eigenes Betriebssystem realisiert ist, könnte
dieses so eingestellt sein, dass es kein anderes Kommando außer
der Aufforderung zur Aktivierung der Antenne akzeptiert. Wenn jetzt
ein Kommando zum Auslesen des Chips gesendet wird, dann wird dieses
Kommando abgelehnt, da nur das Kommando zur Aktivierung zugelassen
ist. Der Nutzer kann somit selbst durch eine explizite Aktion entscheiden,
wann er die Antenne wieder aktivieren möchte. Zu diesem
Zeitpunkt geht er an ein Terminal und ruft die Aktion „Aktivieren
der Antenne” auf. Nach dem Nachweis der entsprechenden
Berechtigung wird die Antenne wieder aktiviert.
-
Um
eine hoheitliche Abfrage des Passes jederzeit zu ermöglichen,
könnte beispielsweise auch eine Behörde eine Berechtigung
nachweisen, durch die dann ebenfalls das Interface aktiviert wird.
Dem Interface wird somit ein entsprechendes Berechtigungskonzept
vorgegeben.
-
Auch
im Automotive Bereich kann das berechtigungsgesteuerte Interface
eingesetzt werden, wie am folgenden Beispiel erläutert
werden soll:
Bei den heute in Entwicklung befindlichen „CarToCar” Kommunikationssystemen
oder sonstigen Kommunikationssystemen, bei denen das Fahrzeug mit sonstigen
Einrichtungen kommuniziert, sind verschiedene Interfaces involviert.
Auch hier möchte der Nutzer in Abhängigkeit von
verschiedenen Situationen nur bestimmte Interfaces für
die Nutzung freigeben. Mit Hilfe eines berechtigungsgesteuerten
Interfaces könnte der Nutzer beispielsweise sicherstellen, dass
innere oder äußere Systeme nur dann eine Kommunikation
mit dem Fahrzeug aufnehmen können, wenn der Fahrer dies
willentlich durch eine aktive Handlung, nämlich dem Aktivieren
des Interfaces, zugelassen hat. Der Nachweis der Berechtigung könnte
beispielsweise mittels eines Passwortes, eines biometrischen Merkmals
oder sonstigen Berechtigungssystemen nachgewiesen werden. Damit
kann der Nutzer verhindern, dass während der Fahrt ungewollte
Bewegungsszenarien erstellt werden.
-
Auch
hierbei könnte durch ein entsprechendes Berechtigungskonzept
verschiedenen Nutzern die Berechtigung zur Nutzung des Interfaces
eingeräumt werden.
-
Die
beschriebenen Szenarien sind lediglich besondere Ausführungsbeispiele.
Das berechtigungsgesteuerte Interface kann bei weiteren Anwendungen
aus den Bereichen IT, SmartCard, Automotive, Multimedia und weiteren
Bereichen eingesetzt werden. Wie die Berechtigung in verschiedenen
Systemen nachgewiesen wird, beispielsweise durch ein Passwort, einem
biometrischen Sensor, einer Authentisierung oder über sonstige
Logiksteuerungen, und in welcher Form das Interface gesteuert wird, beispielsweise
durch eine gesteuerte physikalische Trennung oder eine logische
Trennung, kann in Abhängigkeit von dem jeweiligen System
gestaltet werden.
-
Durch
ein solches berechtigungsgesteuertes Interface wird erreicht, dass
die kontaktlose Schnittstelle eines Systems nur dann genutzt wird,
wenn eine entsprechende Berechtigung zur Aktivierung dieser Schnittstelle
nachgewiesen wird. Der Nutzer muss damit durch eine willentlich
gesteuerte und aktive Handlung, nämlich dem das Aktivieren
der kontaktlosen Schnittstelle, einer Nutzung der Schnittstelle
zustimmen. Wenn aber ein berechtigungsgesteuertes Interface eingesetzt
wird, dann antwortet das System nur dann, wenn das Interface von
einem berechtigten Nutzer willentlich durch eine aktive Handlung
aktiviert wurde. Insofern wird die Sicherheit der Datenauslese wesentlich verbessert.
Zudem bleibt es Unberechtigten verwehrt, die Daten aus einem solchen
Chip auszulesen.
-
Wie
die Berechtigung kann insbesondere durch ein Passwort, einen Fingerprintsensor,
eine Authentisierung oder eine sonstige Logik, nachgewiesen werden.
In welcher Form das Interface gesteuert wird, beispielsweise durch
eine gesteuerte physikalische Trennung oder durch eine logische Trennung,
hängt von dem jeweiligen System ab.
-
Ein
solches System zur Umsetzung des Verfahrens umfasst das die individuellen,
insbesondere zur Identifikation des Nutzers geeigneten Daten tragende
Identifikationsmedium und das Mittel zur Fernauslese der Daten aus
dem Identifikationsmedium. Erfindungsgemäß ist
auf dem Identifikationsmedium eine hemmende Funktionalität
realsiert, die vom Nutzer aktiv abrufbar ist, wobei eine eingeschaltete Hemmung
die Möglichkeit zur Fernauslese blockiert.
-
ZITATE ENTHALTEN IN DER BESCHREIBUNG
-
Diese Liste
der vom Anmelder aufgeführten Dokumente wurde automatisiert
erzeugt und ist ausschließlich zur besseren Information
des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen
Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt
keinerlei Haftung für etwaige Fehler oder Auslassungen.
-
Zitierte Nicht-Patentliteratur
-